anonymous?

쉘코드를 넣어서 실행되도록 해보자. 쉘코드에서 \x 없애기 import binascii shellcode_arr=[ b"\x31\xd2\xb2\x30\x64\x8b\x12\x8b\x52\x0c\x8b\x52\x1c\x8b\x42", b"\x08\x8b\x72\x20\x8b\x12\x80\x7e\x0c\x33\x75\xf2\x89\xc7\x03", b"\x78\x3c\x8b\x57\x78\x01\xc2\x8b\x7a\x20\x01\xc7\x31\xed\x8b", b"\x34\xaf\x01\xc6\x45\x81\x3e\x57\x69\x6e\x45\x75\xf2\x8b\x7a", b"\x24\x01\xc7\x66\x8b\x2c\x6f\x8b\x7a\x1c\x01\xc7\x8b\x7c\xaf", b"\xfc\x..

REVERSING/Reversing Study 2021. 5. 18. 03:07

1. Detect It Easy: PE 파일 정보 확인하기 따로 compress가 진행되진 않았다. 2. 디스어셈블러 사용해보기 1) x32dbg F9로 EntryPoint를 찾았다. EntryPoint에서 우클릭해서 다음을 찾기 -> 현재 구역 -> 문자열 참조 Congratulations!가 Name과 Serial 모두 맞았을 때 가는 branch일 것이므로, 해당 문자열에서 우클릭해서 디스어셈블리에서 따라가기를 선택한다. Congratulations!로 가는 조건을 보자. branch문을 찾는데, 위에 &__vbaFreeObj 함수 호출 후 je로 같을 경우 점프한다. 00403329에서 breakpoint(F5)를 잡고, 실행을 시킨다. Name과 Serial을 hihi와 hello로 주고 Che..

REVERSING/Reversing Study 2021. 5. 18. 01:48

PE 파일 분석 프로그램 PEView 한눈에 PE 구조를 볼 수 있다. PEView 에서 받을 수 있다. Detect It Easy PE 구조, 프로그램을 개발한 언어, 패킹 여부 정보 제공한다. die 통해 파일 수정 가능하다. Detect It Easy 에서 받을 수 있다. 메모리 덤프 OllyDumpEx : OllyDbg 플러그인 OllyDumpEx 사이트에서 파일을 받아서 OllyDbg 플러그인 폴더에 넣는다. IDA, x32dbg/x64dbg OllyDbg 뿐만 아니라 IDA, x32dbg/x64dbg 모두 메모리 덤프 기능을 제공한다. 손상된 IAT 복구 프로그램 LoadPE LoadPE 사이트에서 파일을 받을 수 있다. 압축을 풀고 설치 없이 LordPE.exe 실행하여 사용할 수 있다. R..

REVERSING/Reversing Study 2021. 5. 17. 21:39

1. 패킹과 언패킹 1.1 패킹과 언패킹의 개요 패킹(Packing) 프로그램 코드 크기 줄이기 위해 압축(Compressing)하거나, 프로그램 분석 어렵게 하려고 암호화(Protecting)하는 것 컴프레싱(Compressing): 단순 압축하는 것 초기엔 메모리와 하드디스크 용량이 작아 프로그램의 크기를 줄이기 위해 Compressing 기술을 사용했다. 실행 코드를 압축해서 PE 파일의 특정 섹션에 저장 후, 프로그램이 실행될 때 공간에 압축을 풀어 실행하는 구조 요즘엔 파일 배포 시 전송 시간과 데이터 요금 줄이기 위해 압축 사용 프로텍팅(Protecting): 실행파일을 암호화해서 분석을 어렵게 하는 기술 실행 코드를 암호화된 상태로 배포하고, 실행 시점에서 복호화하여 동작을 수행한다. 속도 ..

REVERSING/Reversing Study 2021. 5. 11. 01:29

OEP 찾기 F9로 프로그램을 실행하면 '004650BE' 주소에서 실행이 멈추는데, EntryPoint에 해당한다. 그리고 F7로 들어가면 함수 프롤로그를 만날 수 있다. ESP 레지스터 값이 EBP 레지스터에 저장된다. 스택 top(ESP 레지스터가 가리키는 곳)에는 EBP 레지스터 값이 저장되어 있다. 현재 EBP 레지스터에는 EBP 값이 저장된 스택의 주소를 가진다. 언패킹이 끝나면 다시 이전 루틴의 EBP 값을 ESP 레지스터에 가져와서 EBP 레지스터에 저장해야 하므로, ESP 레지스터 값이 가리키는 메모리 주소에 BP를 설정하면 OEP로 이동하는 지점을 확인할 수 있다. 스택 top에 저장된 이전 루틴의 EBP 값에 hardware breakpoint를 설정한다. x32dbg에서 이전 루틴의..

REVERSING/Reversing Study 2021. 5. 11. 00:05

OEP를 구한 후 '등록성공' 으로 가는 분기점의 OPCODE를 구하시오. 정답인증은 OEP + OPCODE EX) 00400000EB03 파일이 패킹되어있는 것 같다. Detect It Easy 툴을 사용해서 PE 파일 정보를 확인했다. horsicq.github.io/ 위 사이트에서 die_win64_portable_3.01.zip 을 다운받았다. 압축해제 후, die.exe를 실행하면 바로 사용가능하다. Aspack v2.0으로 패킹된 것을 확인했다. Aspack 언패킹 방법 1. Hardware breakpoint 2. RETN 0C 찾고 BP를 걸어서 OEP를 찾는다. 두 번째 방법을 사용한다. 과정은 다음과 같다. 1. PUSHAD: 현재 레지스터를 스택에 저장 2. 원본코드를 특정 메모리에 ..

REVERSING/Reversing Study 2021. 5. 10. 18:12

OEP를 구하시오 Ex) 00400000 UPX로 패킹되어있어서, 언패킹을 한다. 언패킹한 실행파일을 x32dbg에서 열고, F9로 EntryPoint로 이동한다. OEP는 패킹하기 전의 EntryPoint에 해당하므로 0x01012475이다. 따라서 정답은 01012475

REVERSING/Reversing Study 2021. 5. 9. 23:46

Unpack을 한 후 Serial을 찾으시오. 정답인증은 OEP + Serial Ex) 00400000PASSWORD CodeEngn Basic RCE L05에서와 동일하게 UPX로 패킹된 파일로, L05와 동일하게 언패킹을 진행하면 된다. UPX(The Ultimate Packer for eXecutables)는 실행 파일 압축 프로그램이다. upx 명령어를 이용해서 언패킹을 할 수 있다. 윈도우 쉘에서 기본 명령어로 깔려있지 않아서 CodeEngn Basic RCE L05 에서 upx 명령어를 설치하는 과정을 진행했어서 따로 설치없이 바로 언패킹을 진행했다. UPX로 패킹된 실행파일 언패킹하기 upx.exe -d 실행파일 언패킹 후 다시 IDA로 열어보면 패킹된 실행파일에서는 start 심볼만 보였는..

REVERSING/Reversing Study 2021. 5. 9. 22:44

이 프로그램의 등록키는 무엇인가 파일 유형 확인 32bit PE 파일 분석 Segment가 UPX1인 것으로, UPX(The Ultimate Packer for eXecutables)는 오픈 소스 실행 파일 압축 프로그램으로, upx를 이용해서 언패킹할 수 있다. upx.github.io/ UPX: the Ultimate Packer for eXecutables - Homepage Welcome UPX is a free, portable, extendable, high-performance executable packer for several executable formats. Please also see the Wikipedia entry for some more background info. Blog..

REVERSING/Reversing Study 2021. 5. 3. 02:47

이 프로그램은 디버거 프로그램을 탐지하는 기능을 갖고 있다. 디버거를 탐지하는 함수의 이름은 무엇인가 파일 유형 확인 32bit PE 파일이다. 따라서 32bit IDA로 열어본다. 분석 main 함수에서 바로 _main_0 함수로 점프한다. IsDebuggerPresent 함수를 호출한다. 이 함수가 디버거 프로그램을 탐지하는 기능을 가진 함수로 보인다. 그리고 비교를 해서 있으면 loc_40107E로 점프하고, 없으면 printf(byte_431024); 를 한다. 없으면 printf(byte_43101C);를 한다. Graph View를 봤을 때, 반복문 구조를 가진다. while(1){ Sleep(0x3E8); if(IsDebuggerPresent()){ printf(byte_43101C); } ..

REVERSING/Reversing Study 2021. 5. 3. 00:54

비주얼베이직에서 스트링 비교함수 이름은? 파일 유형 확인 - 32bit PE 파일 - 32bit IDA로 열었다. - 언어가 독일어로 되어있다고 한다. 파일 속성에서 언어가 독일어이었으므로, Danke, das Passwort ist richtig 을 번역해보면 Thank you. The password is correct. 이다. 2G83G35Hs2 가 패스워드고, 이걸 __vbaStrCmp 함수를 통해 비교해서 패스워드가 맞으면 왼쪽 branch로 가는 것 같다. 따라서 비주얼베이직에서 스트링 비교 함수는 vbaStrCmp 함수이다.

REVERSING/Reversing Study 2021. 5. 3. 00:34

패스워드로 인증하는 실행파일이 손상되어 실행이 안되는 문제가 생겼다. 패스워드가 무엇인지 분석하시오 파일 유형 확인 exe 파일 열어보기 Binary Ninja로 분석한 파일을 열어봤다. Rules: Just find the unlock code, no patching allowed. It's very easy, so don't exspect to much. Greeting to the whole TNP, especially Folko for helping me to make my first steps in Win32ASM. 위와 같은게 써있는거 보면 힌트..? 같다. 그리고 MessageBox로 틀리면 Nope try again! 이 뜨고, 패스워드가 맞으면 Yeah you did it! 이런게 뜨는 ..

REVERSING/Reversing Study 2021. 5. 2. 22:09